IT Security Certificeringen

[Liegebeest]

Het examen was deze maand niet in Bilthoven, maar in Utrecht. D'r kwam 48 man opdagen, vandaar.

[Equator]

Het kan inderdaad zijn dat ze voor kleine groepen ook een examenmogelijkheid hebben in Bithoven zelf. Ik zat voor CISSP in Amsterdam, en voor ISSAP in Utrecht.

[Whizzer]

Arrgh... Opende zojuist weer m'n email en zag ineens iets staan van ISC2. Dus verhoogde staat van paraatheid en..... Is het weer reclame... Dat is nu al de 2de keer ofzo sinds ik mijn examen gedaan heb, het zou verboden moeten worden..

[Liegebeest]

Haha, jij ook al? En nou ik zag dat de thread was gebumpt dacht ik dat jij je uitslag had. Ass!

[Liegebeest]

Collega van me ook, wij beiden op onze eerste poging. Ik heb zes maanden gestudeerd en een week lang een review klas gehad. Hij heeft drie maanden voor z'n SSCP gestudeerd en daarna op de bonnefooi z'n CISSP ook gedaan. En nog gehaald ook!

Nu Whizzer nog!

[ Voor 87% gewijzigd door Liegebeest op 15-12-2010 05:31 ]

[Rukapul]

gefeliciteerd

[Whizzer]

Ik kan de hele mail wel plakken, maar laat ik het belangrijkste stuk doen:

Dear Whizzer:
Congratulations!

Als studie heb ik een aantal maanden lang de video's van Shon Harris bekeken in de trein (40 minuten treinen enkele reis) en het boek CISSP for dummies doorgelezen. Wat qua planning in de weg zat was mijn 3 weken vakantie in oktober. Voelde wel als een beetje karige voorbereiding...

* Whizzer doet een dansje

[Verwijderd]

cailin_coilleach schreef op dinsdag 14 december 2010 @ 21:40:
[afbeelding]

Collega van me ook, wij beiden op onze eerste poging. Ik heb zes maanden gestudeerd en een week lang een review klas gehad. Hij heeft drie maanden voor z'n SSCP gestudeerd en daarna op de bonnefooi z'n CISSP ook gedaan. En nog gehaald ook!

Nu Whizzer nog!

Wat een Ass!!

[Liegebeest]

Haha, je mag jezelf noemen wat je wilt.... Ass

[nobleone]

Afgelopen woendag ontving ik de "Congratulations"-mail van (ISC)².
Mijn collega werd door dezelfde bron van een teleurstellende mededeling voorzien maar ja, die zat ook het examen in te vullen vanaf tafel #13.
Onze voorbereiding was hetzelfde: eerst het vijfdaagse CISSP CBK Review Seminar bij DNV CIBIT gevolgd en daarna door Shon Harris' 'examengids' heen worstelen ('worstelen', gezien de hoeveelheid door te nemen tekst wel erg groot was voor drie weken avond-uurtjestijd).

Voor de officiële certificering moet ik nu dus alleen nog het goedkeuringsformulier en mijn bijgewerkte CV opsturen.
Met betrekking tot de CV wordt gesteld dat hierin is opgenomen:
"Detailed description of your duties, as they pertain to the domains of the CISSP CBK."

Vraag voor de reeds-gecertificeerden:
Hóe 'detailed' moet die beschrijving zijn?

[Liegebeest]

In de zin "ik deed dit-en-dat en mijn taken waren onder andere...".

Overigens zou ik zelf altijd het Harris boek (of andere boeken) lezen voor de review seminar... Het is niet voor niets een -review- seminar

[nobleone]

Net als de docent, interpreteerde ik het 'review'-element van de training als beoordeling van reeds, uit eerdere cursussen en ervaring opgedane, parate kennis met als resultaat een mooi overzicht van welke (onderdelen) van de 10 domeinen nog wat extra studieaandacht verdienden.
De door mij vanwege tijdsgebrek (ik hoorde pas twee weken vóór het seminar dat ik überhaupt CISSP ging/mocht 'doen') gehanteerde volgorde was de medecursisten bepaald niet vreemd.
Sterker nog: DNV CIBIT leek er juist vanuit te gaan dat men éérst het seminar volgde; de geadviseerde studieboeken lagen er gedurende de week ter inzage op tafel.

Maar 'one-liners' zijn dus in principe voldoende. Top!

[j0rDy]

ook hier dan maar even een berichtje, ik heb zojuis te horen gekregen dat ik ben geslaagd voor mn OSCP het waren 24 uren pure marteling, maar stiekem heb ik wel genoten van deze vorm van pure kwelling

[LordMorgoth]

Ik heb net de Official (ISC)2 Guide to the SSCP CBK binnen. Wat een gort droog geschreven boek zeg.

Hebben jullie ervaring met de SSCP review seminars van DNV? Ik snap niet helemaal of je die nu het beste kan volgend voordat je begint, of als voorbereiding op je examen.

Daarnaast zit de prijs me ook wat in de weg, wellicht dat ik de Testout voor SSCP aanschaf, da's enkel $495..

[LordMorgoth]

Tijdens een uurtje googlelen kwam ik ook uit bij de volgende certificeringen die ik niet kenden. Is iemand hiermee bekend?

SCNS
http://www.securitycertified.net/Certifications/SCNS.aspx

CIW Web Security Associate
http://www.ciwcertified.c...es/security_associate.php

ISC2 Certified Authorization Professional
https://www.isc2.org/cap/default.aspx

GIAC Information Security Fundamentals (GISF)
http://www.giac.org/certifications/security/gisf.php

Daarnaast heeft GIAC nog een hele buts met overige security certificeringen
http://www.giac.org/certifications/security/

[Liegebeest]

GIAC en ISC en SANS kan je sowieso overal wel mee aankomen.

[Turdie]

Als je geen ervaring hebt in de security, welke security certificering kunnen dan je het beste kiezen om toch te behalen. Ik wil graag de security business in maar tegenwoordig vragen ze allemaal CISSP o.i.d, anders kom je gewoon niet meer binnen.

[Rukapul]

Ik mag hopen dat er geen enkele toko is die mensen aanneemt op basis van certificering welke niet gestaafd wordt door werkervaring. (Bij CISSP sowieso niet mogelijk.)

Het klinkt dus een beetje als het paard achter de wagen spannen.

[j0rDy]

Rukapul schreef op maandag 21 februari 2011 @ 21:57:
Ik mag hopen dat er geen enkele toko is die mensen aanneemt op basis van certificering welke niet gestaafd wordt door werkervaring. (Bij CISSP sowieso niet mogelijk.)

Het klinkt dus een beetje als het paard achter de wagen spannen.

bij CISSP is wel werkervaring vereist (5jaar, 4 indien in bezit van Master opleiding), anders mag je jezelf geen CISSP noemen. Daarbij vind ik het belachelijk dat je bij organisaties zonder certificaat niet binnen komt. certificaten zijn een mooie leidraad om mensen te beoordelen op kennis maar werkervaring telt minstens net zo zwaar. Ik ken genoeg jongens zonder certificering die net zoveel kennis/ervaring hebben als ik.

Oh, en heb mezelf zojuist ingeschreven voor OSWP

[GZ]

Vandaag mijn Security + 2008 gehaald met 850 punten. Denk dat ik na de vakantie met CCNA en vervolgens daarna richting CCNA security ga.

Bij wat voor bedrijven werken jullie als ik vragen mag? Ik zou ook graag een job hebben die zich op security richt.

[LordMorgoth]

LOL, ik heb vandaag ook Security+ gedaan, 845 punten

Examen was goed te doen (vrij simpel eigenlijk), na 35 minuten stond ik weer buiten.

[GZ]

LordMorgoth schreef op woensdag 23 februari 2011 @ 22:57:
LOL, ik heb vandaag ook Security+ gedaan, 845 punten

Examen was goed te doen (vrij simpel eigenlijk), na 35 minuten stond ik weer buiten.

Ik vond het ook heel erg meevallen ja. Echter heb ik wel de eerste 2 vragen "geflagged", omdat ik ze al tricky vond. En dan begin je zo'n examen toch al wat minder fijn.

Gelukkig is het resultaat OK.

[uutgrunn]

Ik begreep dat mensen die afzeggen voor het examen dat je hun CISSP examen plaats voor 50% kan kopen. Weet iemand daar meer van?

[Equator]

Bel (ISC)²
https://www.isc2.org/ContactUs/default.aspx

Maar ISC2 kennende mag je gewoon het volle pond betalen. Er zijn er genoeg die dat willen, en ze zijn toch administratiekosten aan je kwijt. Maar nooit geschoten is altijd mis.

[ Voor 56% gewijzigd door Equator op 01-03-2011 14:07 ]

[uutgrunn]

ja ik zal zeker even bellen, maar ik dacht dat iemand dat wist.

[LordMorgoth]

Hier is de kogel door de kerk. Ik ga eerst ENSA doen (cursus bij TSTC in Veenendaal) en daarna SSCP (zelfstudie en review dag bij DNV).

[j0rDy]

LordMorgoth schreef op vrijdag 04 maart 2011 @ 14:58:
Hier is de kogel door de kerk. Ik ga eerst ENSA doen (cursus bij TSTC in Veenendaal) en daarna SSCP (zelfstudie en review dag bij DNV).

gaaf! TSTC is een leuke/goede club, heb er mn CEH gehaald en was zeer tevreden!

[LordMorgoth]

Weet je nog wie de docent daar was?

[j0rDy]

argh, dat is al een tijdje terug geweest, Rudy. achternaam is me even ontschoten. als je hem nog spreekt doe hem de groeten van me (jordy, ben benieuwd oftie me nog kent)

[ Voor 9% gewijzigd door j0rDy op 20-05-2011 10:53 ]

[j0rDy]

j0rDy schreef op dinsdag 22 februari 2011 @ 09:29:
Oh, en heb mezelf zojuist ingeschreven voor OSWP

Geslaagd

[LordMorgoth]

LordMorgoth schreef op vrijdag 04 maart 2011 @ 14:58:
Hier is de kogel door de kerk. Ik ga eerst ENSA doen (cursus bij TSTC in Veenendaal) en daarna SSCP (zelfstudie en review dag bij DNV).

W00t, eerste dag zit erop.

Veel herhaling vandaag, maar wel erg interessant. Rudy is een geweldige vent. Beetje ADHD, maar erg aanstekelijk enthousiast!

Op naar dag 2

[LordMorgoth]

Your Score: Pass - 84% (42 earned out of 50 possible)

Congratulations! You have successfully passed this exam.

[j0rDy]

LordMorgoth schreef op vrijdag 20 mei 2011 @ 16:39:
Your Score: Pass - 84% (42 earned out of 50 possible)

Congratulations! You have successfully passed this exam.

gefeli! (niet dat ik er aan twijfelde bij Rudy )

[lawkexarib]

Wat voor waarde heeft het Security+ certificaat van Comptia voor een systeembeheerder of wanneer je richting security wilt opgaan?

[kowapanga]

Wil een examen gaan doen door middel van zelfstudie.
Nu kijk ik net op de EC-Council site en daar staat het volgende

In order to be considered for the EC-Council certification exam without attending official training at EC-Council Accredited training center, an applicant must:

a) Have at least two years of information security related experience.
b) Remit a non refundable eligibility application fee of USD 100.00 at our website http://www.eccouncil.org/orders.htm
C) Submit a completed Exam Eligibility Form.

Nu ben ik naar de order link gegaan maar twijfel ik een beetje.
Neem aan dat ik deze moet hebben?
80 Vue Eligibility Application Fee € 73.16 EUR
En dat ik dan een formulier moet invullen en mag hopen dat ik examen later kan afleggen?

[LordMorgoth]

Heeft iemand hier al eens de online challenges van certified secure geprobeerd?

https://www.certifiedsecure.com/certificatedetails/security

[j0rDy]

LordMorgoth schreef op woensdag 19 oktober 2011 @ 00:29:
Heeft iemand hier al eens de online challenges van certified secure geprobeerd?

https://www.certifiedsecure.com/certificatedetails/security

been there, done that, ze hebben alleen geen tshirts

[LordMorgoth]

Blijkbaar ben je de enige hier

[LuckY]

LordMorgoth schreef op woensdag 19 oktober 2011 @ 00:29:
Heeft iemand hier al eens de online challenges van certified secure geprobeerd?

https://www.certifiedsecure.com/certificatedetails/security

Bedoel je de echte onsite trainingen of meer de webchallenges en de cerificaten die je daar bij krijgt?

Als het puur om de webchallenges gaat vind ik het een gevalletje "leuk, maar niet voor de baas"
onsite trainingen helaas geen ervaringen mee

[j0rDy]

LordMorgoth schreef op donderdag 20 oktober 2011 @ 22:56:
Blijkbaar ben je de enige hier

begrijpelijk, ze zijn vermakelijk, maar met enige kennis van zaken is het meeste prima op te lossen. voor uitdaging zou ik het toch bij andere hack challenges websites zoeken.

[LordMorgoth]

Ik vond de challenges eigenlijk best vermakelijk en ik ben eigelijk ook best benieuwd naar hun commerciele trainingen.

Vandaag naar Cibit geweest voor een CISSP review seminar over Information Security Governance and Risk Management en Cryptografie. Ik had eigenlijk sales-pitch-dag verwacht, maar mede door de trainer (Graham Dobson) was het een zeer interessante en vermakelijke dag.

De SSCP certificering staat nog steeds op de planning en ik hoop begin volgend jaar examen te doen. Het enige probleem is de endorsement; ik ken geen enkele SSCP of CISSP in good standing

[Rukapul]

LordMorgoth schreef op maandag 31 oktober 2011 @ 20:55:
Het enige probleem is de endorsement; ik ken geen enkele SSCP of CISSP in good standing

Dat is geen probleem toch? Afaik kun je het gewoon opsturen naar de VS.

Enige voordeel van iemand zelf kennen is dat het proces iets sneller kan gaan als ik het me goed herinner.

[Equator]

Inderdaad. Gewoon alle informatie en een engels CV opsturen naar ISC²
Zij doen dan de controle. Duurt inderdaad langer, maar het kan wel degelijk.

[Zwerver]

LordMorgoth schreef op maandag 31 oktober 2011 @ 20:55:
ik ken geen enkele SSCP of CISSP in good standing

Ik heb ooit zo'n cursus gedaan en raadt eens, de beste cursusleider wilde mij endorsen.... Zo kan je meestal wel iemand vinden die voor jou wil instaan.

[Rukapul]

Uiteraard kan dat en gebeurt dat, maar het is niet de bedoeling lijkt me.

[LordMorgoth]

Ik heb gisteren op de infosecurity een uitgebreid gesprek gehad met een dame van ISC2. Met mijn werkervaring e.d. zou dat geen enkel probleem worden, dus da's ook weer mooi meegenomen

Nu enkel nog de c.v. vertalen...

[BCC]

ISC2 praatje was ook zo ongeveer de beste van de hele infosec beurs Veel grijze mannen die moeilijk naar dingen met een netwerkstekker aan het kijken waren.

[Equator]

LordMorgoth schreef op vrijdag 04 november 2011 @ 10:27:
Ik heb gisteren op de infosecurity een uitgebreid gesprek gehad met een dame van ISC2. Met mijn werkervaring e.d. zou dat geen enkel probleem worden, dus da's ook weer mooi meegenomen

Nu enkel nog de c.v. vertalen...

Was het iemand van ISC2 zelf, of iemand van DNV (Cibit/Inspearit)

[LordMorgoth]

De dame was van ISC2 zelf.

[Whizzer]

LordMorgoth schreef op zaterdag 05 november 2011 @ 11:15:
De dame was van ISC2 zelf.

Deze dame is inderdaad van ISC2 zelf, maar geen allesweter... Collega van mij is slechtziend en vroeg of het mogelijk was voor het CISSP examen extra tijd te krijgen. Ze dacht dat dat mogelijk was of dat iemand het voorlas (dat lijkt me hilarisch), maar wist het ook niet echt.. Ging ze uitzoeken... Maar gelukkig wel welwillend.

[Verwijderd]

Weet iemand wanneer CEH v8 uitkomt? Ik zie al boeken en cursussen, maar kan nergens vinden of het examen al beschikbaar is?

[sh4d0wman]

Hier een discussie: http://www.ethicalhacker..../Itemid,54/topic,8549.15/
Het snelste is wellicht even mailen met ECCouncil.

Weet je overigens zeker dat je CEH wil doen? Het heeft namelijk geen beste naam binnen de security wereld, alleen HR schijnt het leuk te vinden. Ik ben begonnen aan de Offensive Security trainingen. Een andere optie zou eLearnSecurity kunnen zijn.

[army]

Ik had de vraag ook of ik CEH wilde doen en toen ik het boek van CEHv6 inkeek heb ik besloten om het over te slaan en zeker toen ik ook de eis las om een kopie van je ID-bewijs naar het buitenland te sturen was het heel snel duidelijk. Daarbij met OSCP mag je 40 CPE-punten bijschrijven bij (ISC)^2 en met gemiddeld 20 punten per jaar van PvIB kom je snel in de buurt van de vereiste 120 punten in drie jaar voor je CISSP bijvoorbeeld. En je 60 punten in drie jaar voor SSCP is dan ook snel binnen.

En het verschil tussen beide qua diepte is Certified Secure van Pine al een betere uitdaging dan CEH. Maar dat heb je ook tussen GSEC en CISSP, maar dat zijn dingen die je als persoon zelf moet bepalen en wat bij jou en je opdracht past. Maar helaas lijkt CEH steeds meer een manier te worden om door het HR-filter te komen en meer niet. Erg jammer eigenlijk.

[Verwijderd]

sh4d0wman schreef op dinsdag 14 augustus 2012 @ 10:50:
Hier een discussie: http://www.ethicalhacker..../Itemid,54/topic,8549.15/
Het snelste is wellicht even mailen met ECCouncil.

Weet je overigens zeker dat je CEH wil doen? Het heeft namelijk geen beste naam binnen de security wereld, alleen HR schijnt het leuk te vinden. Ik ben begonnen aan de Offensive Security trainingen. Een andere optie zou eLearnSecurity kunnen zijn.

Die Offensive Security trainingen zou ik juist heel graag willen doen, maar wat ik ervan begrepen heb, betaal je voor 1 of 2 maanden een bedrag waarin je het heel druk gaat krijgen het allemaal af te ronden.

Ik zit in de situatie dat ik na 2 jaar net mijn Master InfoSysSec heb gehaald naast een drukke baan en mijn vrouw zwanger van onze aankomende 2e is... dan heb je even geen tijd meer en al je krediet verspeeld zeg maar.

Ik heb dus iets nodig om me bezig te houden maar wat ik op een lag pitje kan doen. CISSP, MCITP, Security+ en CCNA heb ik al. CCNA Security en CEH zijn dan eigenlijk de enige optie.

[sh4d0wman]

Dan zou ik CCNA Security doen, die is vrij makkelijk te halen met je huidige kennis. Ik denk dat je daar echter wel vrij snel doorheen bent dus wellicht daarna nog CCNP als het je leuk lijkt (of een deel van de modules).

Voor OSCP heb je inderdaad aardig veel vrije tijd nodig. OSWP zou je nog wel kunnen doen, studie belasting is niet al te zwaar en het examen is "maar" 4 uur + rapportage tijd. Succes!

[Jheroun]

Ik zou me afvragen wat CCNA-security toevoegt als je al die andere dingen al hebt, CEH voegt dan meer waarde toe, denk ik.

Nou heb ik geen van die certificeringen, ik ken CCNA alleen vanuit de netwerkhoek (werk >10 jaar in architectuur en design) maar ik ga met CISSP aan de slag dus ik ben de laatste week erg veel over trainingen en certificeringen aan het lezen.

[sh4d0wman]

Mocht je niet voor CCNA Sec. gaan dan moet je eens kijken naar eLearnSecurity, eCPPT. Dit zit een beetje tussen CEH en OSCP niveau in. Het voordeel is dat je labtime per uur kan afnemen (of per fixed aantal dagen). Het examen moet je binnen 120 dagen afnemen. Dit examen is minder spectaculair dan OSCP. Je download bij eCPPT een vulnerable image, deze moet je onderzoeken op zwakheden en vervolgens dien je een rapportage op te sturen.

[j0rDy]

sh4d0wman schreef op vrijdag 17 augustus 2012 @ 17:00:
Mocht je niet voor CCNA Sec. gaan dan moet je eens kijken naar eLearnSecurity, eCPPT. Dit zit een beetje tussen CEH en OSCP niveau in. Het voordeel is dat je labtime per uur kan afnemen (of per fixed aantal dagen). Het examen moet je binnen 120 dagen afnemen. Dit examen is minder spectaculair dan OSCP. Je download bij eCPPT een vulnerable image, deze moet je onderzoeken op zwakheden en vervolgens dien je een rapportage op te sturen.

die staat ook nog op mn lijstje, misschien volgend jaar eens naar kijken...Ik heb het gevoel dat met name de stof/documentatie beter is vastgelegd/opgeschreven dan bij OSCP...

[Rukapul]

Uit interesse: waarom die stortvloed aan certificeringen/cursussen? Bij enkele verhalen hierboven krijg ik het idee dat het zodanig stapelen is dat de professionele meerwaarde op een gegeven moment beperkt is. Persoonlijke uitdaging kan natuurlijk ook, maar dan rijst de vraag of dat niet on-the-job kan?

[sh4d0wman]

Voor mij persoonlijk richt ik me op een carriere als penetration tester. Hierbij is het van belang om (basis)kennis van veel verschillende zaken te hebben. Omdat je de kennis toch al op doet is het een kleine stap om dit in een certificaat om te zetten, iets wat klanten altijd leuk vinden om te zien.

Mijn studieplan is gericht op een mix van de zaken die mij interesseren (OSCP/OSCE) en certificaten die voor een werkgever belangrijk zijn (CISSP). Het voordeel van Cisco certificering is dat je deze makkelijk kan vernieuwen, CCNP is dan ook een meer jaren project. Tevens ligt het netwerkdeel mij ook meer dan operating systems. Windows en Linux zal ik niet snel aan beginnen aangezien dit te kostbaar wordt.

General Security/Theoretisch: Comptia Security+, CISSP
Defensive Security: CCNA Security, CCNP (voor NAC, firewall en IDS kennis)
Basis Netwerkkennis: CCNA
Offensive Security: OWSP, OSCP, OSCE (voornamelijk vanwege de mentale uitdaging, verder om aan te tonen dat ik de technische vaardigheden heb om een pentest uit te voeren)

[Jheroun]

Deze week het CISSP examen gehaald. Wat een zit zeg Maar het is dus gelukkig wel gelukt. De eerste 100 vragen gaan prima, de 100 daarna wordt het lastiger en na vraag 200 begon ik het echt zat te worden. Ik heb wel extreem mijn tijd genomen, ik ging na vijfenhalf uur naar buiten. Veel van de vragen zijn verwarrend gesteld, ik vond het beantwoorden een stuk makkelijker als ik de vraag voor mezelf anders verwoordde, maar dat kost dus wel meer tijd. Ik kwam niks tegen dat ik niet kende maar zag wel regelmatig vragen die zo brak gesteld waren dat het moeilijk was te bepalen waar ze heen wilden, en vragen die ik goed kon beantwoorden maar waarbij er geen duidelijk antwoord tussen de opties stond. De verdeling tussen de domeinen verbaasde mij een beetje, gevoelsmatig ging het grotendeels over governance/risk management, architecture/design, business continuity/disaster recovery en legal/investigations/compliance en veel minder over de overige domeinen.

In de voorbereiding heb ik een cursus gedaan en daarna vooral heel veel vragen geoefend. De study guide van Shon Harris (en de extra onlinevragen die daar ook nog bij zitten) vond ik vooral handig, iedere iteratie dat ik in één van de 10 gebieden vragen ging doen schoot mijn score omhoog Ik zou ook adviseren om een keer echt te gaan zitten om in één sessie (met een lunch & toiletbreak) 250 vragen te oefenen. 250 vragen geconcentreerd bezig blijven is een uitdaging op zich.

Ik ken voldoende CISSPs voor die endorsement en die ga ik ook eens vragen hoe zij dat mee te sturen CV hadden opgesteld. Ik heb nu m'n CV gepakt en er kort en bondig per functie bij gezet welke CBK domeinen daarbij kwamen kijken en waarom. Iemand hier ervaring met insturen en acceptatie van dat CV?

[Zwerver]

Jheroun schreef op donderdag 10 januari 2013 @ 14:29:
Deze week het CISSP examen gehaald. Wat een zit zeg Maar het is dus gelukkig wel gelukt. De eerste 100 vragen gaan prima, de 100 daarna wordt het lastiger en na vraag 200 begon ik het echt zat te worden. Ik heb wel extreem mijn tijd genomen, ik ging na vijfenhalf uur naar buiten. Veel van de vragen zijn verwarrend gesteld, ik vond het beantwoorden een stuk makkelijker als ik de vraag voor mezelf anders verwoordde, maar dat kost dus wel meer tijd. Ik kwam niks tegen dat ik niet kende maar zag wel regelmatig vragen die zo brak gesteld waren dat het moeilijk was te bepalen waar ze heen wilden, en vragen die ik goed kon beantwoorden maar waarbij er geen duidelijk antwoord tussen de opties stond. De verdeling tussen de domeinen verbaasde mij een beetje, gevoelsmatig ging het grotendeels over governance/risk management, architecture/design, business continuity/disaster recovery en legal/investigations/compliance en veel minder over de overige domeinen.

In de voorbereiding heb ik een cursus gedaan en daarna vooral heel veel vragen geoefend. De study guide van Shon Harris (en de extra onlinevragen die daar ook nog bij zitten) vond ik vooral handig, iedere iteratie dat ik in één van de 10 gebieden vragen ging doen schoot mijn score omhoog Ik zou ook adviseren om een keer echt te gaan zitten om in één sessie (met een lunch & toiletbreak) 250 vragen te oefenen. 250 vragen geconcentreerd bezig blijven is een uitdaging op zich.

Ik ken voldoende CISSPs voor die endorsement en die ga ik ook eens vragen hoe zij dat mee te sturen CV hadden opgesteld. Ik heb nu m'n CV gepakt en er kort en bondig per functie bij gezet welke CBK domeinen daarbij kwamen kijken en waarom. Iemand hier ervaring met insturen en acceptatie van dat CV?

Ja. Zorg dat de relevante functies met de relevante ervaring erop staat en laat afwijkende zaken zo min mogelijk opvallen. Vaak is dat makkelijker als je voor een detacheerder/consultancytoko werkt omdat je de minder relevante opdrachten dan gewoon weg laat.

[Jheroun]

Ik werk al jaren in netwerkarchitectuur en daarvoor in design en operations, en dat alles bij één werkgever dus niet relevante opdrachten heb ik niet zoveel Ik vroeg me meer af hoe diep je dingen moet beschrijven, ik noem bijvoorbeeld bij een architectuurfunctie de relevantie van Business continuity planning, Disaster recovery en physical security vanuit locale/geografische/HVAC redundantie en de bouw van een hele nieuwe site. Dat leek mij voldoende, anders wordt zo'n CV een document van 10 paginas en die zullen ze sowieso niet gaan lezen gok ik, zeker niet als je endorsed wordt door een andere CISSP.

[Zwerver]

Jheroun schreef op donderdag 10 januari 2013 @ 15:29:
Ik werk al jaren in netwerkarchitectuur en daarvoor in design en operations, en dat alles bij één werkgever dus niet relevante opdrachten heb ik niet zoveel Ik vroeg me meer af hoe diep je dingen moet beschrijven, ik noem bijvoorbeeld bij een architectuurfunctie de relevantie van Business continuity planning, Disaster recovery en physical security vanuit locale/geografische/HVAC redundantie en de bouw van een hele nieuwe site. Dat leek mij voldoende, anders wordt zo'n CV een document van 10 paginas en die zullen ze sowieso niet gaan lezen gok ik, zeker niet als je endorsed wordt door een andere CISSP.

Sowieso lezen ze het alleen steekproefsgewijs volgens mij. Dus zorg voor duidelijke headlines, dan ben je al ver genoeg.

[fcoppens]

Weet iemand of er al een opvolger is voor microsoft 70-299 (MICROSOFT WINDOWS SERVER 2003 NETWORK SECURITY), is er soms al een Windows 2008/2012 versie uit?

[fcoppens]

Ik ben nu ongeveer 10 jaar systeembeheerder maar ook bij ons zijn er veranderingen en moet je je steeds meer specialiseren. De laatste tijd hou ik me steeds meer bezig met de security maar zou me er nog meer in willen verdiepen.
Natuurlijk heb ik eerst op het internet rondgekeken en zie opleidingen (bijvoorbeeld: CISSP) staan waar je een enorme ervaring moet hebben. Ik zou het liefst met een soort "beginners"-securitybeheer training willen starten en vanuit daar kijken of het echt iets voor me is en dan de keuze maken voor een wat zwaardere training.

Weet iemand een cursus/opleiding voor een "beginner" in de security ;-) ??

Zou dit bijvoorbeeld een goede start zijn?
http://www.securityacadem...l-hacking-the-basics.html
http://www.computrain.nl/...istrator-312-38-ENSA.html

dank!

[sh4d0wman]

Ik heb geen ervaring met cursussen maar als zelfstudie ook geen probleem is kun je kijken naar Exin cursussen of Comptia Security+. Voordeel van deze laatste is dat het certificaat internationaal bekend is. Eventueel zou je het kleine broertje van CISSP kunnen doen, SSCP.

Securityacademy komt meestal wel goed uit recensies. ENSA en b.v CEH zou ik pas doen na een solide theoretische basis zoals bovengenoemde cursussen je geven. Verder moet je uiteraard ook kijken welk gebied binnen infosec het meest relevant en interessant is voor jezelf en je dagelijkse werkzaamheden.

Door de jaren heen heb ik vanalles op beveiligingsgebied gedaan en de keuze gemaakt om me op de offensieve kant te richten, pen testing en exploit development.

@fcoppens: volgens mij zijn er binnen Windows geen security tracks meer en zit het door de normale stof heen verweven.

[ Voor 7% gewijzigd door sh4d0wman op 23-01-2013 02:47 ]

[ebia]

Jheroun schreef op donderdag 10 januari 2013 @ 14:29:
Deze week het CISSP examen gehaald. Wat een zit zeg

Wil binnenkort ook gaan voor CISSP. Nu zag ik dat er alleen nog maar computer based examens zijn (jeej), maar nu vraag ik me af: wat doe je als je even een (bio-)break wilt? Kun je je examen dan 'blokkeren' of iets dat niemand op je computer kan?

[Rukapul]

Bang dat een proctor je antwoorden verandert?

[ebia]

Normaliter mag je tijdens die Pearson VUE examens niet zomaar weglopen dacht ik... Maar ik neem aan dat ze dat niet kunnen handhaven bij een examen welke zes uur duurt.

Die examenlokalen hebben nogal een open karakter imho. Over een schouder meekijken is inderdaad een beetje opvallend, maar bijvoorbeeld spieken bij een ander als je het lokaal uitloopt is vaak wel mogelijk. En ook zitten allerhande examens vaak bij elkaar in één lokaal. Ik vraag me gewoon af hoe dat bij zo'n lang examen in z'n werk gaat, bijvoorbeeld als je even een kwartiertje break wilt.. Normaliter kun je ook niet zomaar inlopen zonder toezichthouder, etc...

[Rukapul]

Alle punten die je noemt vallen onder verantwoordelijkheid van de toezichthouder (proctor) en die zouden er in de nieuwe opzet net zo goed moeten zijn als bij de old-style CISSP zittingen.

[Verwijderd]

Weet iemand of ik gewoon 'los' een CEH-certificaat kan 'boeken'? Weet dat het niet veel
waard is maar wil deze toch halen. Gewoon via Prometric?

#edit

Wat is nowadays (2013) de best way to go om mijzelf sterk neer te zetten in security?
Doe nog een HBO (TI), werk deels bij een bedrijf, doe veel in mijn vrije tijd, probeer de
ervaring op te doen en eBooks ^100 maar of ik sterk sta? Nee . Ben gewoon zwaar
ongelukkig in hetgeen ik nu doe en in gecertificeerd ben (Microsoft App-V, Windows
Server, SCOM-monitoring, Virtualisatie / VMWare, Citrix etc). Een baan in de security
zou ik écht ambiëren, maar ik heb het gevoel dat mijn leeftijd al behoorlijk in de weg
zit (27). Wil eigenlijk nu gewoon op eigen houtje (zelf aanschaffen) de nodige certificaten
binnen hengelen. Is dit de juiste weg? Of zie ik het té simpel?

[ Voor 81% gewijzigd door Verwijderd op 22-03-2013 18:19 ]

[Jheroun]

ebia schreef op zondag 27 januari 2013 @ 23:15:
Normaliter mag je tijdens die Pearson VUE examens niet zomaar weglopen dacht ik... Maar ik neem aan dat ze dat niet kunnen handhaven bij een examen welke zes uur duurt.

Die examenlokalen hebben nogal een open karakter imho. Over een schouder meekijken is inderdaad een beetje opvallend, maar bijvoorbeeld spieken bij een ander als je het lokaal uitloopt is vaak wel mogelijk. En ook zitten allerhande examens vaak bij elkaar in één lokaal. Ik vraag me gewoon af hoe dat bij zo'n lang examen in z'n werk gaat, bijvoorbeeld als je even een kwartiertje break wilt.. Normaliter kun je ook niet zomaar inlopen zonder toezichthouder, etc...

Ernstig late reactie van me maargoed...

Breaks kan je gewoon nemen. Ik moest wel alle spullen die ik bij me had in een locker doen, mijn lunch had ik in een apart vakje daarvoor gezet. Ik zag geen lock optie in het examen ofzo ik ben ook gewoon weggelopen om even een hapje te eten en de benen te strekken. Ik zat bij global knowledge in het examenhok, echt zware controle zag ik niet maar er zal wel een camera gehangen hebben.

[ebia]

Verwijderd schreef op vrijdag 22 maart 2013 @ 17:46:
Weet iemand of ik gewoon 'los' een CEH-certificaat kan 'boeken'? Weet dat het niet veel
waard is maar wil deze toch halen. Gewoon via Prometric?

Volgens mij kan dat wel, maar als je zonder behulp van de cursus examen wilt doen (en het volwaardige certificaat wilt hebben), moet je geloof ik wel door een soort screening heen van dat EC Council. Werkervaring in het vakgebied is dan wel gewenst.

#edit

Wat is nowadays (2013) de best way to go om mijzelf sterk neer te zetten in security?
Doe nog een HBO (TI), werk deels bij een bedrijf, doe veel in mijn vrije tijd, probeer de
ervaring op te doen en eBooks ^100 maar of ik sterk sta? Nee . Ben gewoon zwaar
ongelukkig in hetgeen ik nu doe en in gecertificeerd ben (Microsoft App-V, Windows
Server, SCOM-monitoring, Virtualisatie / VMWare, Citrix etc). Een baan in de security
zou ik écht ambiëren, maar ik heb het gevoel dat mijn leeftijd al behoorlijk in de weg
zit (27). Wil eigenlijk nu gewoon op eigen houtje (zelf aanschaffen) de nodige certificaten
binnen hengelen. Is dit de juiste weg? Of zie ik het té simpel?

27? Absoluut niet te laat om een dergelijke change te maken. Certificaten gaan je helpen, maar werkervaring natuurlijk nog meer. Probeer dus ergens bij een security toko binnen te komen. Er zijn er genoeg die echt om techneuten met een achtergrond als de jouwe zitten te springen. In dit vak zitten ook genoeg 'softe' mensen, maar gezien de ernst en roep om 'echte' security zijn techneuten nu toch echt aan zet.

Kijk maar eens om je heen bij de grotere organisaties en detacheer- of consultancy clubs... daar zie ik de laatste tijd geregeld vacatures voor security engineers, pentesters, 'ethical hackers', etc. Het gebrek aan ervaring of kennis kan je over het algemeen goed maken door affiniteit te tonen en natuurlijk de security gerelateerde ervaring die je tot nu toe hebt opgedaan te benadrukken in je cv. Zeker op je huidige leeftijd ben je in het voordeel: je hebt al wat bagage en wat gezien van diverse omgevingen, maar je stelt waarschijnlijk nog geen hoge salariseisen en je hebt nog de drive om jezelf verder te ontwikkelen.

Ik zou wel prio 1 maken van je HBO. Dat blijft hét papiertje die jou op korte termijn gaat helpen de juiste functies in.

Jheroun schreef op vrijdag 22 maart 2013 @ 19:31:
[...]

Breaks kan je gewoon nemen. Ik moest wel alle spullen die ik bij me had in een locker doen, mijn lunch had ik in een apart vakje daarvoor gezet. Ik zag geen lock optie in het examen ofzo ik ben ook gewoon weggelopen om even een hapje te eten en de benen te strekken. Ik zat bij global knowledge in het examenhok, echt zware controle zag ik niet maar er zal wel een camera gehangen hebben.

Ok goed om te weten dat je gewoon weg kunt lopen zonder problemen. Er maar op vertrouwen dat niemand je examen saboteerd of iets, maar dat zal wel meevallen, de meesten zijn immers in zo'n lokaal meer bezig met zichzelf dan een ander

Ik ga ergens in juni op voor het examen, dat reeds is geboekt. Ben heel benieuwd! Heb ook een account genomen bij cccure om examenvragen te oefenen, dat bevalt prima voor die 30 dollar (ofzo) die het kost.

[Verwijderd]

ebia schreef op vrijdag 22 maart 2013 @ 21:45:
[...]
Volgens mij kan dat wel, maar als je zonder behulp van de cursus examen wilt doen (en het volwaardige certificaat wilt hebben), moet je geloof ik wel door een soort screening heen van dat EC Council. Werkervaring in het vakgebied is dan wel gewenst.

Ja? Mooi, dan moet ik daar even naar kijken, heb wel boek en boek onlangs besteld en ben ik nu aan het doen, denk daar MOET ik toch wel het examen mee kunnen halen me dunkt, al is het behoorlijk beknopt.

ebia schreef op vrijdag 22 maart 2013 @ 21:45:
[...]
27? Absoluut niet te laat om een dergelijke change te maken. Certificaten gaan je helpen, maar werkervaring natuurlijk nog meer. Probeer dus ergens bij een security toko binnen te komen. Er zijn er genoeg die echt om techneuten met een achtergrond als de jouwe zitten te springen. In dit vak zitten ook genoeg 'softe' mensen, maar gezien de ernst en roep om 'echte' security zijn techneuten nu toch echt aan zet.

Kijk maar eens om je heen bij de grotere organisaties en detacheer- of consultancy clubs... daar zie ik de laatste tijd geregeld vacatures voor security engineers, pentesters, 'ethical hackers', etc. Het gebrek aan ervaring of kennis kan je over het algemeen goed maken door affiniteit te tonen en natuurlijk de security gerelateerde ervaring die je tot nu toe hebt opgedaan te benadrukken in je cv. Zeker op je huidige leeftijd ben je in het voordeel: je hebt al wat bagage en wat gezien van diverse omgevingen, maar je stelt waarschijnlijk nog geen hoge salariseisen en je hebt nog de drive om jezelf verder te ontwikkelen.

Ik zou wel prio 1 maken van je HBO. Dat blijft hét papiertje die jou op korte termijn gaat helpen de juiste functies in.

Kijk met dit commentaar kan wat. Voel me gewoon OUD omdat ik al 3 opleidingen 'verkloot' heb om er vervolgens pas achter te komen waar ik nu écht affiniteit heb; IT dus. Doe nu deeltijd HBO Technisch Informatica omdat ik gewoonweg de middelen niet heb (financieel) om deze opleiding te bekostigen zonder een lening (me hates lenen), dan maar zo. Alleen duurt het lááááááng en wil ik mij gewoon zo snel mogelijk verder ontwikkelen.

Probeer ondertussen wat security-congresjes en info-bijeenkomsten bij te wonen, contacten te leggen, eBooks te lezen over de vele dingen in security (malware/cryptography/Python/reverse engineering/NMAP/hacking/Wireshark etc) maar daar gaat lang over heen en wil ik dus die certificeringen (CEH/CISSP?) gaan halen.

Dus de kennis is handig om te hebben (van de dingen die ik nu doe)? Dat is dan mooi meegenomen. En inderdaad, ik stel GEEN hoge eisen qua loon, ik verkies plezier en het (her)ontdekken van (nieuwe) dingen boven geld, dus dat lijkt mij ook een pré. Alleen wat ik al zeg, weet niet goed waar te beginnen, kijk iedereen kan hackertje spelen, maar wil een solide basis hebben voordat ik überhaupt een sollicitatie wil gaan doen bij bedrijven zoals Deloitte of Schuberg als (beginnend) security-specialist, dat moet ik gewoon van mijzelf (wil wel wat waard kunnen zijn tijdens de sollicitatie-ronde).

Of draaf ik tever door en moet ik gewoon eens stout doen op moment dat de tijd rijp is ?

[sh4d0wman]

Je leeftijd gaat je echt nog niet in de weg zitten hoor Imho moet een goede security expert ook beheer-ervaring hebben. Hierdoor kun je vaak beter advies geven over het verhelpen van kwetsbaarheden en tevens weet je uit eigen ervaring waar zwakheden kunnen zitten. Ik denk dat als je straks de nodige kennis bezit je wel gaat denken "oh shit, op die manier kon men ook bij mijn omgeving inbreken..."

Ik heb zelf een vergelijkbare achtergrond als jou. Na verloop van tijd kwamen er meer security gerelateerde taken in mijn pakket maar dat was voornamelijk defensief. Mijn hart ligt in het offensieve deel, ethical hacking / pentesting / exploit development.

Kijk welke richting je op wilt en probeer vervolgens certificaten in die richting te halen. CISSP is bijna een must maar heeft wel eisen aan werkervaring. Heb je die niet dan zal je CISSP Associate worden. Dat geeft in ieder geval wel aan dat je motivatie hebt.

Het technische deel zal je moeten leren door veel lezen, prutsen in een lab en niet snel op te geven. CEH ben ik zal geen fan van, ik zou dan eerder tijd in CISSP stoppen.

Wil je pentesting doen dan kan ik je eCPPT aanraden (van eLearnsecurity). Hierna OSCP (van Offensive Security) en je hebt een erg solide basis. Beide examens zijn compleet hands-on en mijn inziens dus waardevoller dan CEH. Het is leuk als je allemaal multiplechoice vragen kan beantwoorden maar dit zegt weinig over je technische vaardigheden.

Verder zou ik je aanraden om de diverse hackme challenges (b.v. damnvulnerablelinux, DeICE, etc) te downloaden en deze proberen op te lossen. Indien forensics je leuk lijkt kijk dan ook zeker eens naar de KLPD challenge zolang deze nog online is.

DM me gerust mocht je specifieke vragen hebben of stel ze in dit topic.

Eigen vraagje:
Ik woon nu in het buitenland en de vraag naar security experts is hier erg laag. Hoe is de markt op dit moment voor pentesting / auditing in NL?

[Verwijderd]

Die is booming, voor zover ik dat kan bepalen. Ik heb je een DM gestuurd

[Jheroun]

ebia schreef op vrijdag 22 maart 2013 @ 21:45:
Ok goed om te weten dat je gewoon weg kunt lopen zonder problemen. Er maar op vertrouwen dat niemand je examen saboteerd of iets, maar dat zal wel meevallen, de meesten zijn immers in zo'n lokaal meer bezig met zichzelf dan een ander

Ik ga ergens in juni op voor het examen, dat reeds is geboekt. Ben heel benieuwd! Heb ook een account genomen bij cccure om examenvragen te oefenen, dat bevalt prima voor die 30 dollar (ofzo) die het kost.

Dat hok kom je alleen in als je een examen hebt. De kans dat iemand een examen boekt om dan zijn tijd te gaan gebruiken om het examen van iemand anders te gaan zitten vernaggelen lijkt me vrij minimaal

Ik had van cccure alleen de gratis vragen gedaan, ik gebruikte vooral de studyguide van Shon Harris, daar staan bakken met vragen in en dan zit er ook nog een link naar de website bij met nog meer vragen. Ik had meer dan 1000 vragen gemaakt voor ik aan het examen begon. Ik vond vragen maken en dan uitgebreid de antwoorden (ook die die ik goed had) reviewen de fijnste methode om door alle stof te komen. En met vragen maken wordt je ook scherp op de manier van vraagstellen, de manier van lezen en de beste manier om het antwoord te kiezen dat isc2 wil horen van de drie die goed kunnen zijn Alleen de stof kennen is niet genoeg.

[Waster]

Ik ben zelf niet zo thuis in de wereld van penetration testing. Maar klopt het dat een penetration tester vooral zwakheden probeert op te sporen en uit te buiten in slecht geconfigureerde en niet up-to-date netwerken en systemen. Of houden penetration testers zich ook bezig met aanvallen op webapplicaties? Gebroken authenticatie, sessie management of CSRF attacks, etc.

Als software engineer ben ik zelf vooral geinteresseerd in beveiliging van webapplicaties. Netwerken en systeembeheer is buiten mijn scope. Ik vroeg me vooral af wat voor soort banen zich bezighouden met het ethisch hacken van webapplicaties?

[photofreak]

Waster schreef op zondag 07 april 2013 @ 15:29:
Ik ben zelf niet zo thuis in de wereld van penetration testing. Maar klopt het dat een penetration tester vooral zwakheden probeert op te sporen en uit te buiten in slecht geconfigureerde en niet up-to-date netwerken en systemen. Of houden penetration testers zich ook bezig met aanvallen op webapplicaties? Gebroken authenticatie, sessie management of CSRF attacks, etc.

Als software engineer ben ik zelf vooral geinteresseerd in beveiliging van webapplicaties. Netwerken en systeembeheer is buiten mijn scope. Ik vroeg me vooral af wat voor soort banen zich bezighouden met het ethisch hacken van webapplicaties?

Een penetratietester moet op allerlei vlakken vaardigheden bezitten. Het kan natuurlijk wel zo zijn dat een bedrijf alleen audits uitvoert op webapplicaties, maar dan is het niet zo dat die alleen op SQL injectie zoekt oid.

Verder zit er ook een verschil tussen een audit en een penetratietest.
Een audit is over het algemeen alleen oppervlakkige lekken vinden en bij een penetratietest is het doel van de auditer om zo diep mogelijk in het systeem te komen en alle gevonden informatie daarbij te gebruiken.

[sh4d0wman]

Met pentration testing zoek je zwakheden in verschillend soorten systemen en test of deze ook daadwerkelijk misbruikt kunnen worden. Dit kan op veel verschillende gebieden zijn: netwerk niveau, operating systems, telefoons, SCADA, de mens (social engineering) en dus ook webapplicaties.

Wel is het zo dat men zich meestal ergens in zal specialiseren omdat je niet alles in detail kunt kennen.

[Saybia]

Graag zou ik bij deze jullie hulp willen inroepen.
Ik kwam de volgende certificering tegen: GIAC Legal Issues in Information Technology & Security (GLEG) en deze lijkt mij erg interessant.

Echter vraag ik mij af of deze certificering een internationaal karakter heeft of meer voor de amerikaanse markt is, aangezien rechtsgebieden kunnen verschillen. Het enige wat ik kan vinden bij SANS is het volgende citaat: "Although this course Day Number 5 will center around American law, non-American law and the roles of non-American government authorities will be examined as well" Maar ja wat behandelen ze dan precies? Kent iemand dit certificaat? Of weet iemand een tegenhanger hiervan qua cursus?

[ebia]

Zo van de week 'even' CISSP geklopt

Vond het een erg pittig examen, maar gelukkig de eerste keer binnen. Ben even te lui om op te schijven wat mijn voorbereidingen precies waren, maar laten we zeggen dat het precies goed genoeg was (Pas twee weken terug echt serieus begonnen met leren).

[Verwijderd]

Saybia schreef op zaterdag 01 juni 2013 @ 03:11:
Graag zou ik bij deze jullie hulp willen inroepen.
Ik kwam de volgende certificering tegen: GIAC Legal Issues in Information Technology & Security (GLEG) en deze lijkt mij erg interessant.

Echter vraag ik mij af of deze certificering een internationaal karakter heeft of meer voor de amerikaanse markt is, aangezien rechtsgebieden kunnen verschillen. Het enige wat ik kan vinden bij SANS is het volgende citaat: "Although this course Day Number 5 will center around American law, non-American law and the roles of non-American government authorities will be examined as well" Maar ja wat behandelen ze dan precies? Kent iemand dit certificaat? Of weet iemand een tegenhanger hiervan qua cursus?

GIAC en SANS zijn toch sowieso algemeen bekend als goede partij / certificaten.
Wat ik ervan heb gelezen in ieder geval.

[0x0000007B]

Saybia schreef op zaterdag 01 juni 2013 @ 03:11:
Graag zou ik bij deze jullie hulp willen inroepen.
Ik kwam de volgende certificering tegen: GIAC Legal Issues in Information Technology & Security (GLEG) en deze lijkt mij erg interessant.

Echter vraag ik mij af of deze certificering een internationaal karakter heeft of meer voor de amerikaanse markt is, aangezien rechtsgebieden kunnen verschillen. Het enige wat ik kan vinden bij SANS is het volgende citaat: "Although this course Day Number 5 will center around American law, non-American law and the roles of non-American government authorities will be examined as well" Maar ja wat behandelen ze dan precies? Kent iemand dit certificaat? Of weet iemand een tegenhanger hiervan qua cursus?

Ik heb meerdere SANS tracks gevolgd (plus certificering) en uit ervaring blijkt dat SANS over het algemeen meer gericht is op de Amerikaanse regelgeving, maar internationale regelgeving en gerelateerde problematiek komen wel ter sprake. Heb echter geen ervaring met LEG523: Law of Data Security and Investigations, gezien de track beschrijving verwacht ik dat hier meer aandacht zal zijn voor internationale regelgeving. Ik kan dit later dit jaar voor je navragen aangezien ik een live track ga volgen.

Overigens voor degene die een SANS track willen volgen zou ik aanraden om te kiezen voor de grote events in de US. Je krijgt dan vaak les van de courseware auteurs, mega vendor market, meer lezingen, lunch sessies en soms ook meetings met branch-genoten en daarnaast worden deze events vaak op leuke locaties gehouden (Las Vegas, Washinghton DC )

[ Voor 12% gewijzigd door 0x0000007B op 11-04-2015 21:20 ]

[ocn]

Wat is nou precies de waarde van CEH, SSCP, en CISSP?

Als ik bij http://www.itbanen.nl/vacature/zoeken zoek naar die keywords vind ik alleen bij CISSP 1 vacature.

Bij http://www.monsterboard.nl/ vind ik 18 voor CISSP, 0 voor SSCP en 2 voor CEH..

Trek ik de juiste conclusie als ik denk dat CEH een goede certificering als starter is, en CISSP voor een senior functie?

[Verwijderd]

0x0000007B schreef op woensdag 03 juli 2013 @ 13:34:
[...]


Ik heb meerdere SANS tracks gevolgd (plus certificering) en uit ervaring blijkt dat SANS over het algemeen meer gericht is op de Amerikaanse regelgeving, maar internationale regelgeving en gerelateerde problematiek komen wel ter sprake. Heb echter geen ervaring met LEG523: Law of Data Security and Investigations, gezien de track beschrijving verwacht ik dat hier meer aandacht zal zijn voor internationale regelgeving. Ik kan dit later dit jaar voor je navragen aangezien ik een live track ga volgen.

Overigens voor degene die een SANS track willen volgen zou ik aanraden om te kiezen voor de grote events in de US. Je krijgt dan vaak les van de courseware auteurs, mega vendor market, meer lezingen, lunch sessies en soms ook meetings met branch-genoten en daarnaast worden deze events vaak op leuke locaties gehouden (Las Vegas, Washinghton DC )

P.s. Ik heb de volgende SANS tracks gevolgd:
SEC401: Security Essentials Bootcamp Style
SEC504: Hacker Techniques, Exploits & Incident Handling
SEC506: Securing Linux/Unix
SEC560: Network Penetration Testing and Ethical Hacking
SEC580: Metasploit Kung Fu for Enterprise Pen Testing
FOR508: Advanced Computer Forensic Analysis and Incident Response
En later dit jaar:
SEC660: Advanced Penetration Testing, Exploits, and Ethical Hacking

Mooie lijst - zou ik ook graag willen doen.

[ebia]

barcawinner schreef op maandag 22 juli 2013 @ 12:51:
Trek ik de juiste conclusie als ik denk dat CEH een goede certificering als starter is, en CISSP voor een senior functie?

Dat kun je wel zo stellen ja, maar toch is een nuance op z'n plaats.

Om de titel CISSP te krijgen moet je niet alleen het examen succesvol afronden, maar er worden ook eisen gesteld aan je werkervaring. Als je dus helemaal groen bent op gebied van IT, of in ieder geval nooit iets hebben gedaan met een paar van de 10 domains de afgelopen 4 of 5 jaar, dan zul je niet het volwaardige CISSP-schap krijgen.

In zoverre is CISSP dus wel een 'senior' accreditatie zoals je zegt, alhoewel het maar ook verschilt per organisatie wat junior/medior/senior precies inhoudt. Sowieso is CISSP echt een hele brede maar niet zo'n diepgaande opleiding. Het zal je niet in één keer expert maken in een bepaald gebied, alhoewel je wel 'overal' over kunt meepraten.

Voor CEH moet je óf een klassikale cursus hebben gevolgd, of relevante werkervaring hebben. Dat eerste kan dus handig zijn als je net komt kijken in de security, en nog niet voldoende ervaring hebt maar toch het certificaat wilt halen. In zoverre kun je ook als 'junior' CEH doen, alhoewel ik niet een nieuwkomer met 0,0 IT ervaring dit certificaat zal zien halen. Je moet er immers wel de nodige netwerk- en systeemkennis voor hebben om het in een groter perspectief te plaatsen zonder dat je het spoor bijster raakt.

In dat opzicht zijn beide certificaten dus niet echt voor de complete beginner in het vakgebied. Maar dat is (technische) security sowieso niet. Meestal ga je dat pas doen als je andere takken van sport al redelijk in de vingers hebt, denk aan systeembeheer, netwerkbeheer of applicatieontwikkeling.

[Liegebeest]

photofreak schreef op zondag 07 april 2013 @ 18:56:
Verder zit er ook een verschil tussen een audit en een penetratietest.
Een audit is over het algemeen alleen oppervlakkige lekken vinden en bij een penetratietest is het doel van de auditer om zo diep mogelijk in het systeem te komen en alle gevonden informatie daarbij te gebruiken.

Zo suggereer je dat een audit zelf maar weinig voorstelt, wat natuurlijk doorgaans niet zo is.

Waar een pen-test inderdaad zwaar technisch is (en mogelijk ook social engineering benut), zal een audit ook kijken naar de organisatorische aspecten: documentatie, processen, gesprekken voeren over de dagelijkse gang van zaken.

ebia schreef op maandag 22 juli 2013 @ 17:27:
Om de titel CISSP te krijgen moet je niet alleen het examen succesvol afronden, maar er worden ook eisen gesteld aan je werkervaring.

Daar naast, om de CISPP te behouden moet je elke drie jaar minimaal 120 CPE (continued professional education) verantwoorden. Dat staat gelijk aan minimaal 120-150 uur relevante extra activiteiten (dus niet je vaste baan).

Ik heb mijn eerste drie jaar er nu bijna op zitten en ik zit nu over m'n minimum heen en ben netjes verder punten aan het opbouwen. Het grootste deel van m'n punten is gehaald middels het behalen van mijn RHCSA certificaat (20 in A + 40 in . De resterende 60 punten in het A domein zijn behaald door het lezen van boeken, het volgen van online seminars, het publiceren van werk en door het hernieuwen van m'n ITIL certificaat.

Het klinkt misschien als een rompslomp, dat verantwoorden van studiepunten, maar mooi dat de dingen die je doet voor dat resultaat ook goed op je CV staan

[ Voor 42% gewijzigd door Liegebeest op 17-08-2013 14:35 ]

[Boudewijn]

Ik heb al een leuk stel certificeringen, maar zojuist mijn certificaatje voor Volatility gehad na een week volle bak hands-on training (dik 40 uur na vanmiddag).

Deze dus:
http://volatility-labs.bl...training-netherlands.html


Fox heeft de devs van volatility naar .nl gehaald om 5 dagen hands-on te doen met een groep mensen. Dikke aanrader imo. Erg veel leuke 'echte' (als in: Je ziet gewoon niet dat het fake is, zoals bij SANS) cases met echte malware en echte vaagheid zoals je in het echt ook ziet.

[ Voor 16% gewijzigd door Boudewijn op 13-09-2013 13:07 ]

[fcoppens]

3 weken geleden ben ik geslaagd voor het examen CEH V8. Ik vond het best pittig omdat dit mijn eerste opleiding + examen is in de security.

Ik ben iets meer dan 10 jaar systeem -en netwerkbeheerder maar kreeg, zoals een aantal van jullie, steeds meer security-achtige taken erbij. Als systeem -en netwerkbeheerder deed ik af en toe wel wat cursussen (geen examen). Nu ik CEH heb gedaan heb ik me voorgenomen security goed bij te gaan houden en er steeds dieper in te gaan. Mijn planning is 1 à 2 securityopleidingen per jaar.

Nu zit ik eigenlijk met de vraag, ik heb CEH gedaan maar wat nu?
Ik heb veel gelezen over CISSP maar denk dat dat nog te vroeg komt, ik denk dat ik dan eerst de nodige ervaring in de security moet opdoen.
Ik heb als vervolg op CEH ook zitten lezen ECSA/LPT maar weet niet of dat wat is. Wie kan mij adviseren?

Alvast bedankt!

[ocn]

fcoppens schreef op woensdag 16 oktober 2013 @ 23:36:
3 weken geleden ben ik geslaagd voor het examen CEH V8. Ik vond het best pittig omdat dit mijn eerste opleiding + examen is in de security.

Ik ben iets meer dan 10 jaar systeem -en netwerkbeheerder maar kreeg, zoals een aantal van jullie, steeds meer security-achtige taken erbij. Als systeem -en netwerkbeheerder deed ik af en toe wel wat cursussen (geen examen). Nu ik CEH heb gedaan heb ik me voorgenomen security goed bij te gaan houden en er steeds dieper in te gaan. Mijn planning is 1 à 2 securityopleidingen per jaar.

Nu zit ik eigenlijk met de vraag, ik heb CEH gedaan maar wat nu?
Ik heb veel gelezen over CISSP maar denk dat dat nog te vroeg komt, ik denk dat ik dan eerst de nodige ervaring in de security moet opdoen.
Ik heb als vervolg op CEH ook zitten lezen ECSA/LPT maar weet niet of dat wat is. Wie kan mij adviseren?

Alvast bedankt!

SSCP

[Boudewijn]

En waarom?

[ocn]

Boudewijn schreef op donderdag 17 oktober 2013 @ 01:37:
En waarom?

Dat is de natuurlijke voorloper van CISSP, ook van ISC^2.

[Boudewijn]

Ah ja daarom is ie goed, dat was ik even vergeten.

offtopic:
Omdat iets ook van ISC^2 is iets goed noemen? Dat is exact wat ik tegen veel CISSP mensen heb. Gewoon dom een papiertje halen en alsnog er geen ruk van snappen.

Neem me niet kwalijk, maar ik werk in de infosec en zie zo gruwelijk veel mensen met CISSP voorbij komen tegen belachelijke fees die echt gewoon he-le-maal niets kunnen.

[ Voor 28% gewijzigd door Boudewijn op 17-10-2013 13:03 ]

[fcoppens]

Dank voor je advies.
Mag ik vragen, heb jij de opleiding klassikaal gedaan of zelfstudie? En waar heb je de opleiding gevolgd?
En weet je soms ook een goed boek om me er op voor te bereiden?

[ Voor 20% gewijzigd door fcoppens op 17-10-2013 16:13 ]

[Rukapul]

Boudewijn schreef op donderdag 17 oktober 2013 @ 11:46:
Ah ja daarom is ie goed, dat was ik even vergeten.

offtopic:
Omdat iets ook van ISC^2 is iets goed noemen? Dat is exact wat ik tegen veel CISSP mensen heb. Gewoon dom een papiertje halen en alsnog er geen ruk van snappen.

Neem me niet kwalijk, maar ik werk in de infosec en zie zo gruwelijk veel mensen met CISSP voorbij komen tegen belachelijke fees die echt gewoon he-le-maal niets kunnen.

Dat papiertje is dan ook op eenvoudige wijze te halen door het boek goed te lezen. En dan heb je dus iemand die een hele berg informatie gestampt heeft waarvan een flink deel eigenlijk in een museum thuishoort.

Je hoeft er niets voor te kunnen. Dat laatste is trouwens ook mijn bezwaar tegen information security masters, want ook daar zijn vaak slechts een paar vakken waarin echt kennis en vaardigheden toegepast moeten worden en getoetst worden.

Is CISSP dan slecht? Nee, dat vind ik niet, want de houders hebben over het algemeen wel een zekere mate van kennis en ervaring in het veld mits geborgd door concrete werkervaring (en dus niet een opgepluste beheersrol).

Het echte bezwaar van CISSP is dan wellicht ook dat het vooral de security manager types zijn die hem voeren en veel minder de security techneuten. En het probleem van security manager types is dat er eigenlijk teveel zijn en vragen en problemen vooral heen en weer geschoven worden ipv beantwoord en opgelost worden.

* Rukapul heeft 12 jaar concrete security ervaring op hele diverse vlakken en CISSP omdat hij op een dag dacht dat dat wel aardig was om te hebben. De domper kwam eigenlijk al een beetje bij het examen waar ook een aantal dinosaurussen van DNB waren voor de zoveelste poging. Die mensen hadden bij hun afstudeeropdracht vast niet de BSD kernel lopen debuggen om fouten uit de IPsec stack te halen of de gaarheid van de PF_KEY API vast te stellen en evenmin leken het mensen die zojuist geexperimenteerd hadden met de nieuwste claim-based identity management technologien of iets wat ook maar in de richting van techniek kwam. Het leken zelfs niet mensen die dagelijks hun systemen moeten zien te verdedigen terwijl deze onder vuur liggen van geavanceerde aanvallers. Wellicht zijn het de mensen die in hun risk assessment template mooie productnamen van dure vendors invullen in de mitigation kolom. Bij voorkeur uiteraard gebruikmakend van de Gartner terminologie en concepten.

[ Voor 5% gewijzigd door Rukapul op 17-10-2013 19:23 ]

[fcoppens]

Rukapul schreef op donderdag 17 oktober 2013 @ 19:17:
[...]

Het echte bezwaar van CISSP is dan wellicht ook dat het vooral de security manager types zijn die hem voeren en veel minder de security techneuten. En het probleem van security manager types is dat er eigenlijk teveel zijn en vragen en problemen vooral heen en weer geschoven worden ipv beantwoord en opgelost worden.

Beste Rukapul,
Als ik jou verhaal zo lees wordt CISSP vooral gebruikt door security managers. Ik zie mezelf momenteel meer als echte techneut, ik ben zeker geen manager. Wat zou je dan voor opleiding adviseren? Ik heb CEH gedaan en wil nog meer verschillende opleidingen doen in de Security.

Frank

[Rukapul]

Als je terugleest in dit topic dan zie je daarvoor voldoende suggesties

En CISSP wordt ook wel gebruikt door anderen, maar het zegt zo bar weinig over hun (technische) security vaardigheden omdat CISSP dat feitelijk niet test.

[Verwijderd]

fcoppens schreef op donderdag 17 oktober 2013 @ 23:59:
[...]


Beste Rukapul,
Als ik jou verhaal zo lees wordt CISSP vooral gebruikt door security managers. Ik zie mezelf momenteel meer als echte techneut, ik ben zeker geen manager. Wat zou je dan voor opleiding adviseren? Ik heb CEH gedaan en wil nog meer verschillende opleidingen doen in de Security.

Frank

Volgens mij moet je even zoeken naar de lijstjes van:

- 0x0000007B
- Sh4d0wman
- Boudewijn

Die hebben een imposante lijst met dingen gedaan (SANS, GIAC etc). Dat is de weg die ik zou (be)wandelen in ieder geval. Zelf zit ik ook dat ik vanuit een systeemadmin-kant de security op wil gaan dus ben nu op eigen houtje gewoon CEH, eBooks lezen, congressen bezoeken, papers lezen, doen/oefenen in private lab, wat SANS (trainings)courses gekregen in mappen, probeer het in ieder geval zo. Heb zelf niet de financiele middelen om reisjes te boeken naar de VS om de SANS dingen te doen helaas. Het is lastig zo maar goed. Zie hierboven ook ergens mijn verhaal. Zou in ieder geval persoonlijk (voor mijzelf) een goede basis voor defensive/offensive hacking willen krijgen/hebben. Het is voor mij in ieder geval best lastig, naast de normale/dagelijkse dingen.